🇰🇷 한글 설명
Kirki WordPress 플러그인 6.3.2 이전 버전에서 댓글에 포함된 숏코드가 실행되는 취약점이 발견되었습니다. 인증되지 않은 방문자가 댓글을 통해 등록된 숏코드를 실행하고 페이지의 비공개 사용자 정의 필드 내용을 읽을 수 있습니다.
💡 쉬운 설명
댓글창에 특정 명령어를 입력하면 관리자만 볼 수 있는 비밀 정보를 몰래 훔쳐볼 수 있는 보안 결함입니다. 누구나 로그인 없이도 사이트의 중요한 데이터를 읽어갈 위험이 있습니다.
🇺🇸 원문 (English)
The Kirki WordPress plugin before 6.3.2 does not prevent shortcodes held in comments from being executed when it renders them, and displays comments regardless of their moderation status, allowing unauthenticated visitors to run shortcodes registered on the site and to read private custom fields of the page being viewed.
📍 영향받는 시스템
Kirki WordPress plugin version < 6.3.2
⚔️ 공격 벡터
인증되지 않은 사용자가 댓글에 악성 숏코드를 삽입하여 실행 유도
🛡️ 대응 방법
Kirki WordPress 플러그인을 최신 버전(6.3.2 이상)으로 즉시 업데이트
🔧 검증 코드
명령어 결과에 버전이 6.3.2 미만으로 표시되면 취약한 버전이 설치된 상태입니다.
wp plugin list --name kirki --format='json' | grep -E '"version": "[0-5]\.[0-6]\.'